プラットフォーム
php
コンポーネント
emlog
修正版
2.6.3
CVE-2026-34607は、Emlog CMSのバージョン1.0.0から2.6.2において発見されたパス・トラバーサル脆弱性です。この脆弱性を悪用されると、攻撃者はサーバー上で任意のコードを実行できるようになり、システム全体への影響が懸念されます。影響を受けるバージョンは1.0.0から2.6.2までであり、バージョン2.6.3で修正されています。
この脆弱性は、認証されたEmlog CMSの管理者が、ZIPファイル形式で悪意のあるファイルをアップロードすることで、サーバー上の任意の場所にファイルを書き込めることを意味します。攻撃者は、PHPウェブシェルなどの悪意のあるファイルをアップロードし、サーバーへのリモートコード実行（RCE）を達成できます。これにより、機密情報の窃取、データの改ざん、システムの完全な制御など、深刻な被害が発生する可能性があります。この脆弱性は、ZIPファイルのファイル名に../のようなパス・トラバーサルシーケンスが含まれている場合に発生します。Emlog CMSの管理者が悪意のあるプラグインやテンプレートをアップロードする際に、この脆弱性が悪用される可能性があります。
この脆弱性は、2026年4月3日に公開されました。現時点では、公開されているPoCは存在しませんが、パス・トラバーサル脆弱性は一般的に悪用が容易であり、今後悪用される可能性があります。CISA KEVリストへの登録状況は不明です。攻撃者は、Emlog CMSをホストしているサーバーをスキャンし、脆弱性を悪用する可能性があります。
Emlog CMS installations, particularly those running versions 1.0.0 through 2.6.2, are at risk. Shared hosting environments that utilize Emlog CMS are especially vulnerable, as they often have limited control over server configurations and security settings. Administrators who have not implemented robust file upload validation or access controls are also at increased risk.
• linux / server:
find /var/www/emlog -type f -name '*.php' -exec grep -i 'emUnZip\(' {} + | journalctl -f• generic web:
curl -I http://your-emlog-site.com/wp-admin/admin-ajax.php?action=upload_plugin&file=../../../../../../etc/passwd | grep 'Content-Type:'• php:
Get-ChildItem -Path "C:\xampp\htdocs\emlog\include\lib" -Recurse -Filter "common.php"disclosure
patch
エクスプロイト状況
EPSS
0.37% (59% パーセンタイル)
CISA SSVC
Emlog CMSのバージョンを2.6.3以降にアップデートすることが最も効果的な対策です。アップデートが困難な場合は、ZIPファイルのアップロード機能を一時的に無効にするか、アップロードされるZIPファイルの内容を厳密に検証するカスタムのセキュリティチェックを実装することを検討してください。また、ウェブアプリケーションファイアウォール（WAF）を使用して、パス・トラバーサル攻撃を検出し、ブロックすることも有効です。ファイルアップロード処理において、ファイル名に含まれる../のようなパス・トラバーサルシーケンスを厳密に検証するルールをWAFに設定してください。アップデート後、Emlog CMSのバージョンが2.6.3以降であることを確認し、セキュリティログを監視して不正なファイルアクセスがないか確認してください。
Actualice Emlog a la versión 2.6.3 o posterior para mitigar la vulnerabilidad de recorrido de ruta. Esta actualización corrige la falta de sanitización de los nombres de las entradas ZIP, evitando la escritura de archivos arbitrarios en el sistema de archivos del servidor.
脆弱性分析と重要アラートをメールでお届けします。
CVE-2026-34607は、Emlog CMSのバージョン1.0.0から2.6.2におけるパス・トラバーサル脆弱性であり、認証された管理者が悪意のあるZIPファイルをアップロードすることでリモートコード実行（RCE）を達成できる可能性があります。
はい、Emlog CMSのバージョン1.0.0から2.6.2を使用している場合は、この脆弱性によってサーバー上の任意のコードが実行されるリスクがあります。
Emlog CMSをバージョン2.6.3以降にアップデートすることが推奨されます。アップデートが困難な場合は、一時的な緩和策として、ZIPファイルのアップロード機能を無効にするか、ファイル名検証を強化してください。
現時点では、公開されているPoCは存在しませんが、パス・トラバーサル脆弱性は一般的に悪用が容易であり、今後悪用される可能性があります。
Emlog CMSの公式ウェブサイトまたはセキュリティアナウンスメントをご確認ください。
CVSS ベクトル